2026年10月、会員制アプリ、ECサイト、旅行予約サイト、メール配信サービスなど、日常的に利用されているサービスで、大規模な情報漏洩や不正アクセスが相次いで公表されました。
ただし、企業が発表した「最大件数」が、そのまま情報漏洩が確定した人数を意味するとは限りません。
公表される数字には、漏洩を確認した件数のほか、漏洩した可能性がある最大対象件数、重複を含む延べ件数、現在調査中のデータなどが含まれる場合があります。
この記事では、2026年10月を中心に公表された主な情報漏洩・不正アクセス事案について、次の3つの状態を区別して整理します。
- 情報漏洩が確認された事案
- 情報漏洩の可能性がある事案
- 不正アクセスを確認し、影響を調査している事案
最近公表された主な情報漏洩・不正アクセス事例
| 公表・更新日 | 企業・サービス | 公表された対象規模 | 公表時点の状況 |
|---|---|---|---|
| 2026年10月30日 | 良品計画「無印良品・MUJIアプリ」 | 最大2,726万件 | 情報漏洩の可能性があり、経路などを調査中 |
| 2026年10月30日 | クラブツーリズム | 最大432万件 | インターネット予約システムの会員情報に漏洩の可能性 |
| 2026年10月30日 | ワールド／ティンパンアレイ | 最大120万件 | 業務サーバー内の情報に漏洩の可能性 |
| 2026年10月29日 | アイリスオーヤマ「アイリスプラザ」 | 調査中 | 公式通販サイトで不正アクセスを確認。影響範囲を調査中 |
| 2026年10月29日 | 松屋フーズ | 未公表 | 不正アクセスを検知し、関連サービスを停止。漏洩の有無を調査中 |
| 2026年10月28日 | 花キューピット | 423万8,242件 | 会員IDやメールアドレスなどに漏洩の可能性 |
| 2026年10月27日 | So-net／plala | 計258万5,481件 | 会員情報の漏洩を確認 |
| 2026年10月27日 | スマートシェア「OWNLY」 | 1万4,034件 | キャンペーン参加者情報の閲覧・ダウンロードの痕跡を確認 |
| 2026年10月26日 | Joshin | 会員データ最大約600万件など | 不正アクセスによる漏洩のおそれ。複数データ間で重複の可能性あり |
| 2026年10月26日 | 楽天トラベル | ログイン情報最大約260万件など | 複数の侵入事象を調査。対象情報すべての流出が確定したものではない |
| 2026年10月26日 | ツクツク!!! | カード情報1万9,115件、個人情報36万2,750件 | カード情報は漏洩の可能性が極めて高いと公表 |
| 2026年10月26日 | ドトールコーヒー | 951人 | 従業員・退職者の人事情報や銀行口座情報が流出したおそれ |
| 2026年10月26日 | Gunosy | 132人 | 取引先担当者や役職員などの個人情報が流出 |
| 2026年10月26日・第2報 | ユミルリンク「Cuenote FC」 | 延べ5,162万8,280件 | データ出力の痕跡があるシステムが49に拡大 |
| 2026年10月23日 | カプコン「CAPCOM ID」 | 世界で1,177万4,247件 | 登録・利用情報の漏洩を公表 |
| 2026年10月21日以降 | ラクスライトクラウド「ブラストメール」 | 複数組織に波及 | メール配信サービスへの不正アクセスにより、利用企業・団体へ影響 |
注意：「最大件数」「対象件数」「延べ件数」は、必ずしも情報漏洩が確定した実人数を表すものではありません。複数サービス間の重複や、調査対象として抽出された情報が含まれる場合があります。
良品計画「無印良品・MUJIアプリ」
公表日：2026年10月30日
良品計画の「無印良品・MUJIアプリ」では、最大2,726万件の情報が漏洩した可能性があるとされています。
公表時点では、すべての情報について漏洩が確定したものではなく、漏洩の可能性がある最大対象件数として示されています。侵入経路などの詳細については調査中です。
クラブツーリズム
公表日：2026年10月30日
クラブツーリズムでは、インターネット予約システムに登録された会員情報について、最大432万件が漏洩した可能性があると公表されました。
公表された件数のすべてについて、実際の外部流出が確認されたという意味ではない点に注意が必要です。
ワールド／ティンパンアレイ
公表日：2026年10月30日
ワールドの子会社であるティンパンアレイでは、業務サーバーが不正アクセスを受け、最大120万件の情報が漏洩した可能性があるとされています。
公表時点では、対象範囲や侵入経路などの調査が続いています。
アイリスオーヤマ「アイリスプラザ」
公表日：2026年10月29日
アイリスオーヤマの公式通販サイト「アイリスプラザ」では、不正アクセスが確認され、サイトが一時停止されました。
公表時点ではクレジットカード情報の漏洩は確認されておらず、その他の情報への影響、侵入経路、対象件数などが調査されています。
松屋フーズ
公表日：2026年10月29日
松屋フーズでは外部からの不正アクセスを検知し、公式アプリ、モバイルオーダー、宅配サービス、Webサイトなどの関連サービスを停止しました。
公表時点では、情報漏洩の有無、影響を受けた件数、具体的な侵入経路は明らかになっていません。
花キューピット
公表日：2026年10月28日
花キューピットでは、通販サイトの管理システムに対する不正アクセスが確認されました。
会員423万8,242件のIDやメールアドレスなどが漏洩した可能性があるとされています。
So-net／plala
公表日：2026年10月27日
So-netおよびplalaでは、合計258万5,481件の会員情報について、漏洩が確認されたと公表されました。
内訳は、So-netが214万1,986件、plalaが44万3,495件です。また、メール認証情報5万4,401アドレス分が内数として含まれています。
スマートシェア「OWNLY」
公表日：2026年10月27日
スマートシェアのキャンペーン支援サービス「OWNLY」では、モスバーガーに関連する3つのキャンペーンについて、参加者情報合計1万4,034件への影響が公表されました。
SNSユーザーIDなどを閲覧またはダウンロードした痕跡が確認されています。
Joshin（ジョーシン）
公表日：2026年10月26日・第2報
Joshinでは、不正アクセスにより、会員データ最大約600万件が漏洩した可能性があると公表されました。
このほか、サブスクリプションサービスの情報最大約23万件、リフォーム関連情報最大約800件なども対象候補とされています。
複数のデータに同一人物が含まれている可能性があるため、公表された数字を単純に合計することはできません。
楽天トラベル
公表日：2026年10月26日
楽天トラベルでは、海外ホテル予約サイトや多言語予約サイトなどに対する不正アクセスが公表されました。
公表された対象には、海外ホテルサービスのログイン情報最大約260万件、予約情報最大約4万件、多言語サイトのログイン情報最大約86万件などが含まれます。
複数の侵入事象として調査されており、公表された対象情報のすべてについて外部流出が確定したものではありません。
ツクツク!!!
公表日：2026年10月26日
ツクツク!!!では、カード情報1万9,115件について、漏洩した可能性が極めて高いと公表されました。
カード入力画面が改ざんされ、入力された情報が外部へ送信された痕跡が確認されています。
このほか、個人情報36万2,750件についても漏洩の可能性が示されていますが、カード情報以外については外部への転送痕跡が確認されていないとされています。
ドトールコーヒー
公表日：2026年10月26日
ドトールコーヒーでは、4店舗に勤務していた従業員および退職者951人分の情報が、不正アクセスによって外部へ流出したおそれがあると公表されました。
対象には人事情報や銀行口座情報が含まれています。公表時点では、顧客情報への侵害は確認されていません。
Gunosy
公表日：2026年10月26日
Gunosyでは、業務アカウントが侵害され、取引先担当者25人、役職員など107人、合計132人の個人情報が流出したと公表されました。
一般利用者の情報については、流出は確認されていません。
ユミルリンク「Cuenote FC」
更新日：2026年10月26日・第2報
ユミルリンクのメール配信サービス「Cuenote FC」では、不正アクセスにより、漏洩のおそれがある情報が延べ5,162万8,280件に拡大しました。
データ出力の痕跡が確認されたシステムは49に増加しています。
この数字は延べ件数です。同じ人物の情報が複数の利用企業やデータに含まれている可能性があるため、実際の被害人数とは一致しません。
カプコン「CAPCOM ID」
公表日：2026年10月23日
カプコンの「CAPCOM ID」では、世界で1,177万4,247件の登録・利用情報について、漏洩が公表されました。
ラクスライトクラウド「ブラストメール」
公表日：2026年10月21日以降
ラクスライトクラウドのメール配信サービス「ブラストメール」への不正アクセスでは、同サービスを利用していた複数の企業や団体に影響が広がりました。
利用企業からの案内では、ブラストメールに登録されていた次の情報について、外部への漏洩が確認されたと説明されています。
- メールアドレス
- 氏名、氏名のフリガナ
- 会社名、会社名のフリガナ
- 利用サービス名
- アカウントの登録日
- 個人・法人の区分
- ニュースやキャンペーン情報の配信希望状況
一方、ログインパスワード、住所、電話番号、クレジットカード情報などの決済情報は、今回の漏洩対象には含まれていないと案内されています。
最近の情報漏洩事案から見える4つの特徴
1．委託先やSaaSから被害が広がっている
最近の事案で特に注意したいのが、自社システムではなく、委託先やクラウドサービスが侵害されるケースです。
ブラストメールやCuenote FCのような共通サービスが攻撃されると、そのサービスを利用していた企業・団体の顧客情報にも影響が広がります。
自社のサーバーやネットワークに異常がなくても、委託先から「情報漏洩の対象に含まれている」と連絡を受ける可能性があります。
企業は、委託先やクラウドサービスについて、少なくとも次の情報を把握しておく必要があります。
- どのサービスに、どの情報を登録しているか
- 個人情報が何件保存されているか
- 委託先が再委託を行っているか
- 契約終了後にデータが削除されるか
- 事故発生時の連絡方法と責任分界
- 不要なデータが長期間残されていないか
2．Webサイトやスマートフォンアプリが狙われている
会員サイト、予約サイト、ECサイト、モバイルアプリなど、インターネットからアクセスできるシステムを対象とした事案が目立っています。
企業は、WordPressなどのCMS、問い合わせフォーム、ECサイト、会員管理システム、予約システムについて、継続的に更新状況を確認する必要があります。
特に注意したいのは、次のような状態です。
- CMS本体やプラグインが古い
- 使用していないプラグインや管理者アカウントが残っている
- 管理画面が無制限にインターネットへ公開されている
- 多要素認証が設定されていない
- 管理者アカウントを複数人で共用している
- 不正ログインや大量アクセスを検知できない
- 顧客情報を必要以上に長期間保存している
3．公表された件数と実際の被害人数は異なる
情報漏洩の記事を見ると、「数百万件」「数千万件」といった大きな数字が目につきます。しかし、企業によって公表単位は異なります。
- 人数
- アカウント数
- メールアドレス数
- データベース上のレコード数
- 延べ件数
- 漏洩した可能性がある最大対象数
同じ人が複数のサービスを利用している場合や、同一人物の情報が複数のデータベースに登録されている場合、延べ件数は実人数より大きくなります。
記事や社内報告書を作成するときは、「○万人が漏洩した」と断定するのではなく、企業の公表に合わせて次のように表現することが重要です。
- 最大○万件が対象となる可能性
- 延べ○万件に漏洩のおそれ
- ○万アカウント分の情報
- ○人分について漏洩を確認
- 影響範囲および対象件数は調査中
4．漏洩後のフィッシング被害にも注意が必要
氏名、会社名、メールアドレス、利用中のサービス名が漏洩すると、その情報を組み合わせたフィッシングメールが送られる可能性があります。
例えば、利用しているサービス名を把握した攻撃者が、次のような内容のメールを送ることが考えられます。
- 情報漏洩に伴う本人確認
- パスワード変更のお願い
- アカウント停止の解除
- 支払い情報の再登録
- セキュリティ確認
- 補償手続きの案内
情報漏洩の通知を受け取った場合は、メールに記載されたリンクを直接開かず、普段使用しているブックマークや公式サイトからログインすることが重要です。
企業が確認すべき対策
今回のような情報漏洩は、大企業だけの問題ではありません。
中小企業でも、メール配信、問い合わせフォーム、オンラインストレージ、顧客管理、予約受付、Webサイト制作などで、さまざまな外部サービスを利用しています。
自社の対策だけでなく、委託先やクラウドサービスを含めて確認する必要があります。
外部サービスの利用状況を把握する
社内で使用しているクラウドサービスや委託先を一覧化し、それぞれにどのような情報を保存しているか確認します。
無料サービスや、特定の担当者だけが契約しているサービスも確認対象に含めます。
不要な個人情報を削除する
サービスを利用するために必要な情報だけを登録し、利用目的を終えた情報は削除します。
保存件数と保存期間を減らすことは、情報漏洩が発生した場合の影響を小さくすることにつながります。
多要素認証を有効にする
管理者アカウントやクラウドサービスのアカウントでは、多要素認証を有効にします。
パスワードだけに依存せず、認証アプリ、パスキー、セキュリティキーなど、サービスが対応している認証方法を検討します。
管理者アカウントを共用しない
管理者アカウントを複数人で共用すると、不正操作が発生したときに、誰が操作したのか確認できなくなる可能性があります。
利用者ごとにアカウントを発行し、管理権限は必要な担当者だけに付与します。
ログと通知を確認する
不正アクセスが発生しても、ログを保存していなければ、侵入経路や影響範囲の確認が難しくなります。
クラウドサービスやWebサイトについて、ログイン履歴、管理操作、データ出力、大量アクセスなどのログを確認できるか把握しておくことが重要です。
事故発生時の連絡手順を決める
情報漏洩の疑いが発生してから連絡先や対応方法を考えるのでは、初動が遅れる可能性があります。
あらかじめ、次の項目を決めておく必要があります。
- 社内の第一報の連絡先
- 経営層への報告基準
- システムやアカウントを停止する権限
- 委託先への確認窓口
- 影響を受けた顧客への連絡方法
- 個人情報保護委員会などへの報告要否を確認する担当者
- Webサイトでの公表担当者
- 復旧後の再発防止策を管理する担当者
まとめ
2026年10月に公表された情報漏洩・不正アクセス事案では、ECサイト、会員制アプリ、旅行予約サイト、メール配信サービスなど、さまざまなサービスが影響を受けました。
特に注目すべきなのは、自社が直接攻撃されるケースだけでなく、委託先や共通のクラウドサービスを通じて被害が広がっている点です。
企業には、自社システムのセキュリティ対策に加えて、次の取り組みが求められます。
- 使用している外部サービスの把握
- 委託先に預けている情報の確認
- 不要な個人情報の削除
- 多要素認証の導入
- 管理者権限の適切な管理
- ログの保存と定期確認
- 情報漏洩発生時の連絡体制の整備
- 漏洩情報を悪用したフィッシングへの注意
個人情報を一度登録したまま放置するのではなく、「現在も保存する必要があるか」「同じ情報を複数のサービスに登録していないか」を定期的に見直すことが重要です。
本記事の情報について
本記事は、2026年11月2日時点で確認できる企業・団体の公表および公開情報をもとに整理したものです。
記事中の「漏洩件数」には、漏洩が確認された件数だけでなく、漏洩した可能性がある最大対象件数、延べ件数、調査中の対象件数が含まれます。
また、委託先や共通サービスで発生した事案については、同一の事案を複数の利用企業がそれぞれ公表している場合があります。本記事は、すべての情報漏洩事案を網羅するものではありません。
対象範囲や原因、漏洩件数は今後の調査によって変更される可能性があります。最新情報は、各企業・団体の公式発表をご確認ください。
コメント